Un mot de passe peut ne pas suffire protger un appareil contre les pirates informatiques. Une nouvelle tude a rvl comment les criminels peuvent utiliser des camras thermiques pour retracer le mot de passe qu’une personne a tap sur un smartphone, un clavier d’ordinateur ou mme un distributeur automatique de billets. Des chercheurs de l’universit de Glasgow ont montr comment des camras dtectant la chaleur peuvent aider craquer des mots de passe jusqu’ une minute aprs les avoir taps. Ils ont publi leurs rsultats dans la revue ACM Transactions on Privacy and Security. Dans cette tude, les informaticiens ont mis au point un systme d’intelligence artificielle appel ThermoSecure, capable de retracer les mots de passe rcemment saisis partir de la chaleur du bout des doigts d’une personne. Les images des claviers et des crans prises par la camra thermique peuvent tre analyses par l’IA pour deviner correctement les mots de passe informatiques en quelques secondes.
Des chercheurs ont dcouvert que des camras dtection de chaleur peuvent aider dchiffrer des mots de passe jusqu’ une minute aprs les avoir taps, tout en prvenant que des systmes similaires pourraient tre dvelopps par des criminels pour s’introduire dans des ordinateurs et des smartphones. La chaleur du bout des doigts des personnes peut tre dtecte sur les claviers rcemment utiliss et, lorsque les images thermiques ont t combines avec l’aide de l’intelligence artificielle, un outil mis au point par des chercheurs de l’universit de Glasgow a permis de deviner le mot de passe.
Le Dr Mohamed Khamis, du dpartement informatique de l’universit, a supervis le dveloppement de ThermoSecure, un type inhabituel de systme de pentesting ou test dintrusion conu pour dmontrer comment la technologie de capture de la chaleur peut tre utilise pour faciliter le vol de justificatifs dans ce qu’il appelle une « attaque thermique ». Un test d’intrusion est une mthode d’valuation de la scurit d’un systme d’information ou d’un rseau informatique. Khamis et son quipe ont entran l’intelligence artificielle « lire » les traces de chaleur laisses par le bout des doigts des utilisateurs de claviers d’ordinateur, de smartphones et de distributeurs automatiques de billets.
Quelque 86 % des mots de passe ont t dchiffrs lorsque les images thermiques ont t prises dans les 20 secondes suivant la saisie du code secret et passes dans le systme ThermoSecure, et 76 % dans les 30 secondes. Le taux de russite tombait 62 % aprs 60 secondes de saisie. Ils ont galement constat qu’en 20 secondes, le systme tait capable d’attaquer avec succs des mots de passe longs de 16 caractres, avec un taux de 67 % de tentatives correctes. Plus les mots de passe taient courts, plus les taux de russite augmentaient. Les mots de passe douze symboles ont t devins jusqu’ 82 % du temps, les mots de passe huit symboles jusqu’ 93 % du temps et les mots de passe six symboles ont russi dans 100 % des tentatives.
Se mettre dans la peau d’un voleur pour attraper un voleur
On dit qu’il faut penser comme un voleur pour attraper un voleur. Nous avons dvelopp ThermoSecure en rflchissant soigneusement la faon dont les acteurs malveillants pourraient exploiter les images thermiques pour s’introduire dans les ordinateurs et les smartphones. L’accs aux camras imagerie thermique est plus abordable que jamais, et l’apprentissage automatique est de plus en plus accessible aussi , a dclar Khamis. Il a ajout : L’accs aux camras imagerie thermique est plus abordable que jamais (on peut en trouver pour moins de 225 ) et l’apprentissage automatique devient de plus en plus accessible aussi. Il est donc trs probable que des personnes du monde entier dveloppent des systmes similaires ThermoSecure afin de voler des mots de passe .
Cette technologie est potentiellement utile aux cybercriminels, car les camras thermiques montrent qu’une zone rcemment touche est plus lumineuse qu’une autre. Ainsi, en utilisant ces camras pour mesurer l’intensit relative de ces points chauds, les escrocs avertis pourraient dterminer les chiffres, lettres ou autres symboles spcifiques qui ont t taps ou touchs. Ils pourraient ensuite estimer l’ordre dans lequel ils ont t saisis, en essayant diffrentes combinaisons dans une attaque par force brute augmente jusqu’ ce qu’ils trouvent la bonne ; une tche pour laquelle l’apprentissage automatique, une forme d’intelligence artificielle, pourrait les aider.
Attaques thermiques
Les attaques thermiques peuvent se produire aprs qu’une personne a tap son mot de passe ou son code d’accs sur le clavier de son ordinateur, sur l’cran de son smartphone ou aprs avoir tap son code pin un distributeur automatique de billets. Un voleur peut alors utiliser une camra thermique pour prendre une photo et enregistrer la signature thermique de l’endroit o la personne a touch l’appareil. Sur les images captures par les camras thermiques, les zones apparaissent d’autant plus claires qu’elles ont t touches rcemment.
Plus la zone est chaude, plus elle a t touche rcemment, ce qui permet aux criminels de dterminer l’ordre possible dans lequel les touches ont t utilises pour essayer diffrentes combinaisons afin de craquer le mot de passe. En mesurant l’intensit relative des zones plus chaudes, les chercheurs ont constat qu’il tait possible de dterminer les lettres et les chiffres spcifiques des symboles qui composent le mot de passe et d’estimer l’ordre dans lequel ils ont t utiliss. Il est important que la recherche en scurit informatique suive le rythme de ces volutions afin de trouver de nouveaux moyens d’attnuer les risques, et nous continuerons dvelopper notre technologie pour tenter de garder une longueur d’avance sur les attaquants , explique Khamis.
Selon le Dr Khamis, il convient d’utiliser des mots de passe plus longs dans la mesure du possible, ceux qui sont les plus difficiles deviner avec prcision. Par ailleurs, le type de matriau utilis pour la fabrication des claviers peut influer sur leur capacit absorber la chaleur, certains plastiques tant beaucoup plus susceptibles de conserver un motif thermique que d’autres. Les claviers rtroclairs produisent galement plus de chaleur, ce qui rend les relevs thermiques prcis plus difficiles, de sorte qu’un clavier rtroclair en plastique PBT pourrait tre intrinsquement plus sr. Enfin, les utilisateurs peuvent contribuer rendre leurs appareils et claviers plus srs en adoptant des mthodes d’authentification alternatives, comme la reconnaissance des empreintes digitales ou du visage, qui attnuent une grande partie des risques d’attaque thermique , ajoute-t-il.
Des rglementations plus strictes sont ncessaires
Khamis a exhort les gouvernements donner suite aux conclusions de son quipe et rendre plus difficile l’accs la technologie de collecte des informations d’identification. Nous tenons souligner aux dcideurs politiques les risques que ces types d’attaques thermiques font peser sur la scurit informatique. L’un des moyens potentiels de rduire les risques pourrait tre de rendre illgale la vente de camras thermiques dont le logiciel ne comporte pas une forme de scurit renforce. Nous dveloppons actuellement un systme de contre-mesure pilot par l’IA qui pourrait contribuer rsoudre ce problme , a-t-il dclar.
Il existe un moyen un peu plus onreux de se dfendre contre une attaque thermique : apprendre taper au clavier. Les secrtaires dont les frappes ont t suivies par une camra thermique pendant une demi-minute n’ont russi djouer les attaques que dans 80 % des cas, alors que les dactylographes deux doigts, moins adroits, ont russi djouer les attaques dans 92 % des cas.
Source : ACM Transactions
Et vous ?
Que pensez-vous des rsultats de cette recherche ? Les trouvez-vous pertinents ?
Voir aussi :
Des chercheurs en scurit djouent Windows Hello en trompant une webcam du systme de reconnaissance faciale : une photo infrarouge et une trame vido leur ont suffi
93 % des Franais utilisent des mots de passe faibles, d’aprs une enqute d’Avast, qui met la lumire sur les pratiques des Franais en la matire
Pirater des mots de passe est aujourd’hui la porte de tous un amateur explique comment faire et donne cinq dbuts de parades
Les machines Linux et Raspberry Pi deviennent des cibles privilgies pour le piratage des donnes d’identification, les pirates accdent des serveurs avec les mmes mots de passe par dfaut